Kradzież danych a utrata danych
Rozróżnienie ma znaczenie dla strategii zapobiegania. Zapobieganie kradzieży danych jest bardziej ukierunkowane niż ogólne DLP. Zakłada przeciwnika działającego z zamiarem, często insidera, czyli osobę z wewnątrz organizacji, który będzie próbował omijać zabezpieczenia, a nie nieuważnego użytkownika popełniającego błędy.
Zabezpieczenia muszą więc uwzględniać takie próby obejścia: szyfrowanie treści, gromadzenie danych przed transferem, korzystanie z zatwierdzonych kanałów, aby się wtopić, oraz fizyczne wynoszenie danych na nośnikach wymiennych.
Utrata danych to każde nieuprawnione ujawnienie, także przypadkowe, np. wysłanie maila do złej osoby. Kradzież danych to celowe wyniesienie danych w celach nieuprawnionych, np. sprzedaż tajemnic handlowych.
Jakie dane są kradzione
Najbardziej wartościowe cele kradzieży to zwykle własność intelektualna: kod źródłowy, rysunki techniczne, dane badawcze, plany produktów i opatentowane procesy. Równie cenne są dane klientów, na przykład bazy kontaktów i historia zakupów, które mają znaczenie przy wyłudzeniach i w wywiadzie konkurencyjnym.
Do celów należą też dane finansowe, takie jak modele cenowe, warunki umów, sprawozdania finansowe i plany fuzji lub przejęć, a także hasła, tokeny API i certyfikaty, które otwierają dalszy dostęp. Na liście są również plany strategiczne, np. biznesplany, strategie marketingowe i stanowiska negocjacyjne.
Warstwy zapobiegania
Skuteczne zapobieganie układa zabezpieczenia warstwowo, tak aby usunięcie dowolnej pojedynczej warstwy wciąż pozostawiało pozostałe na miejscu. Każda warstwa odpowiada na inne pytanie, od tego, kto może sięgnąć po dane, po to, co trafia na nośnik USB:
| Warstwa | Co robi |
|---|---|
| Zarządzanie dostępem | Ogranicza, kto może sięgnąć po dane wrażliwe, i regularnie przegląda uprawnienia. |
| Analiza treści i DLP | Blokuje, kieruje do kwarantanny lub oznacza treść wrażliwą trafiającą do nieuprawnionego miejsca. |
| Kontrola urządzeń | Ogranicza nośniki wymienne i może zachowywać kopię cieniową zapisywanej treści. |
| Monitorowanie kanałów | Obserwuje pocztę, wysyłki do chmury, komunikatory, WWW, FTP i drukowanie. |
| Monitorowanie zachowań (UEBA) | Wykrywa gromadzenie danych, dostęp poza zakresem i rosnący wolumen przed kradzieżą. |
| Widoczność na stacji roboczej | Widzi lokalne kanały: kopie na USB, schowek i fotografowanie ekranu. |
| Audyt i materiał dowodowy | Rejestruje kto, co, kiedy, którym kanałem i jakiej treści dotyczyło. |
Ryzyko okresu odejścia
Znaczna część kradzieży danych przypada na zmianę zatrudnienia: pracownicy odchodzący do konkurencji, kończące się umowy podwykonawców i osoby, którym wypowiedziano. W tygodniach przed odejściem osoba ma jednocześnie motyw (przygotowanie do nowej roli) i okazję (uprawniony dostęp wciąż działa).
Programy zapobiegania obejmują ten okres w sposób szczególny. To oparte na ryzyku monitorowanie aktywności użytkowników dla znanego okresu podwyższonego ryzyka, a nie inwigilacja osób. Jest stosowane konsekwentnie i uregulowane w polityce.
- 1
Obserwacja odchodzących
Wzmożone monitorowanie działań osób, które za chwilę odejdą.
- 2
Ograniczenie dostępu
Przegląd uprawnień i ich redukcja zaczynają się od chwili wypowiedzenia.
- 3
Alerty przy masowym ruchu
Automatyczne alerty dotyczą masowego dostępu do danych lub ich transferu przez odchodzących użytkowników.
- 4
Zamknięcie dostępu
Procedury odejścia szybko odbierają dostęp i sprawdzają ostatnią aktywność.
Dlaczego zapobieganie obejmuje wykrywanie
Żaden zestaw zabezpieczeń nie czyni kradzieży niemożliwą. Zdeterminowana osoba wewnętrzna z uprawnionym dostępem znajdzie luki.
Skuteczne zapobieganie obejmuje więc także wykrywanie zagrożeń wewnętrznych: zdolność do zauważenia kradzieży w toku lub po fakcie, zbadania jej i podjęcia działań. Zapobieganie zmniejsza powierzchnię ataku, a wykrywanie wychwytuje to, co przez nią przeszło. Oba elementy się uzupełniają, a nie zastępują.
Jak to wygląda w Anexet
W Anexet DLP zabezpieczenia nośników wymiennych i schowka konfiguruje się regułami, a każda reguła może zapisywać, co zablokowała.
1 / 2
Od czego zacząć
Zacznij od danych, których wyciek zaszkodziłby najbardziej, a potem zmapuj kanały, którymi te dane faktycznie krążą. Zasady pisane naraz dla wszystkich plików kończą blokowaniem zwykłej pracy i wyłączeniem zabezpieczeń.
Łącz zapobieganie z wykrywaniem od pierwszego dnia, żeby kradzież w toku nie zależała od szczęścia.
Czytaj dalej: Top 5 rodzajów danych, które próbują wykraść konkurenci; Zapobieganie wyciekom danych przez superużytkowników.
Kradzież rzadko wygląda jak kradzież. Wygląda jak jeden plik więcej skopiowany w zwykły dzień pracy.
Anexet TeamJak rozwiązuje to Anexet
Architektura Anexet odwzorowuje bezpośrednio opisane wyżej warstwy zapobiegania:
Sama architektura on-premise jest środkiem zapobiegawczym: ponieważ dostawca nie ma dostępu do danych klienta, nie istnieje zewnętrzna droga do danych monitoringu, reguł klasyfikacji ani zgromadzonego materiału.
Analiza treści
Tezaurusy bezpieczeństwa, banki skrótów, biblioteki cyfrowych odcisków i integracja z etykietami poufności wykrywają, gdy przemieszcza się treść chroniona. Wykrycie jest powiązane z konkretną własnością intelektualną, a nie tylko z ogólnymi wzorcami.
Kontrola urządzeń
Moduł kontroli urządzeń monitoruje i może blokować nośniki wymienne (pamięci USB, dyski zewnętrzne, nośniki optyczne oraz urządzenia mobilne podłączone jako nośnik) według typu urządzenia, numeru seryjnego, identyfikatora producenta lub produktu. Polityki obejmują zakres od pełnej blokady po zapis z kopią cienia, czyli zachowanie kopii każdego pliku zapisanego na nośniku zewnętrznym do audytu.
Pokrycie kanałów
Agenci na stacjach roboczych monitorują pocztę, ruch WWW, aplikacje magazynów chmurowych, komunikatory, drukowanie, schowek i przechwytywanie ekranu, czyli kanały, którymi dochodzi do kradzieży.
Egzekwowanie blokad
Polityki blokują transfery pasujące do treści wrażliwej, kierują je do kwarantanny w celu weryfikacji albo zgłaszają alertem, zależnie od wagi sprawy.
Punktacja ryzyka behawioralnego
Mechanizm analizy ryzyka oznacza użytkowników, których zachowanie wskazuje na gromadzenie danych lub przygotowanie do kradzieży, także w okolicy zdarzeń związanych z odejściem.
Eksport materiału dowodowego
Moduł postępowań buduje uporządkowane sprawy z wykrytych zdarzeń, z eksportem do celów prawnych lub dyscyplinarnych. To ślad audytu, którego wymaga zapobieganie kradzieży.
Funkcja kontroli urządzeń
Dowiedz się więcej